Güvenlik Güncellemesi 2006-003 Hakkında
Bu belgede Yazılım Güncelleme tercihleri veya Apple İndirilenler aracılığıyla indirilip yüklenebilen Güvenlik Güncellemesi 2006-003 açıklanmaktadır.
Apple, müşterilerini korumak amacıyla, tam denetim gerçekleştirilene ve gerekli yamalar veya sürümler kullanıma sunulana kadar güvenlik sorunlarını açıklamaz, tartışmaz veya onaylamaz. Apple Ürün Güvenliği hakkında daha fazla bilgi için Apple Ürün Güvenliği web sitesine bakın.
Apple Ürün Güvenliği PGP Anahtarı hakkında bilgi için "Apple Ürün Güvenliği PGP Anahtarı'nı kullanma" başlıklı makaleye bakın.
Daha fazla bilgi sağlamak amacıyla güvenlik açıkları mümkün olduğunca CVE Kimliği ile belirtilir.
Diğer Güvenlik Güncellemeleri hakkında bilgi için "Apple Güvenlik Güncellemeleri" başlıklı makaleye bakın.
Güvenlik Güncellemesi 2006-003
AppKit
CVE-ID: CVE-2006-1439
İlgili ürünler: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Etki: Güvenli bir metin alanına girilen karakterler, aynı pencere oturumundaki diğer uygulamalar tarafından okunabilir
Açıklama: Belirli durumlarda metin girişi alanları arasında geçiş yapıldığında NSSecureTextField, güvenli etkinlik girişini yeniden etkinleştiremeyebilir. Bu, aynı pencere oturumundaki diğer uygulamaların bazı giriş karakterlerini ve klavye etkinliklerini görmesine olanak sağlayabilir. Bu güncelleme, güvenli etkinlik girişinin doğru şekilde etkinleştirilmesini sağlayarak sorunu giderir. Mac OS X 10.4 sürümü öncesindeki sistemler bu sorundan etkilenmez.
AppKit, ImageIO
CVE-ID: CVE-2006-1982, CVE-2006-1983, CVE-2006-1984
İlgili ürünler: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Etki: Kötü amaçlarla oluşturulmuş bir GIF veya TIFF görüntüsünü görüntülemek, rastgele kod yürütülmesine neden olabilir
Açıklama: Hatalı oluşturulmuş GIF veya TIFF görüntülerinin işlenmesi, kötü amaçlarla oluşturulmuş bir görüntü ayrıştırılırken rastgele kod yürütülmesine neden olabilir. Bu durum, görüntüleri okumak için ImageIO (Mac OS X v10.4 Tiger) veya AppKit (Mac OS X v10.3 Panther) çerçevesini kullanan uygulamaları etkiler. Bu güncelleme, GIF ve TIFF görüntüleri için ek doğrulama gerçekleştirerek sorunu giderir.
BOM
CVE-ID: CVE-2006-1985
İlgili ürünler: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Etki: Bir arşivi genişletilmek rastgele kod yürütülmesine neden olabilir
Açıklama: Bir saldırgan, dikkatli bir şekilde uzun yol adları içeren bir arşiv oluşturarak (bir Zip arşivi gibi) BOM'de bir yığın arabellek taşması tetikleyebilir. Bu durum, rastgele kod yürütülmesiyle sonuçlanabilir. BOM, Finder'da ve diğer uygulamalarda arşivleri işlemek için kullanılır. Bu güncelleme, sınır koşullarını doğru şekilde işleyerek sorunu giderir.
BOM
CVE-ID: CVE-2006-1440
İlgili ürünler: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Etki: Kötü amaçlı bir arşivi genişletmek, rastgele dosyaların oluşturulmasına veya dosyaların üzerine yazılmasına yol açabilir
Açıklama: Arşivlerde karşılaşılan dizin geçişi sembolik bağlantılarının işlenmesindeki bir sorun, arşivi genişleten kullanıcının erişebildiği rastgele konumlarda BOM'nin dosyalar oluşturmasına veya dosyaların üzerine yazmasına neden olabilir. BOM, Finder ve diğer uygulamalar adına arşivleri işler. Bu güncelleme, bir arşivden genişletilen dosyaların hedef dizin dışına yerleştirilmemesini sağlayarak sorunu giderir.
CFNetwork
CVE-ID: CVE-2006-1441
İlgili ürünler: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Etki: Kötü amaçlı web sitelerini ziyaret etmek, rastgele kod yürütülmesine neden olabilir
Açıklama: Parçalı aktarım kodlamasının işlenmesindeki bir tamsayı taşması, rastgele kod yürütülmesine neden olabilir. CFNetwork, Safari ve diğer uygulamalar tarafından kullanılır. Bu güncelleme, ek doğrulama gerçekleştirerek sorunu giderir. Mac OS X 10.4 sürümü öncesindeki sistemler sorundan etkilenmez.
ClamAV
CVE-ID: CVE-2006-1614, CVE-2006-1615, CVE-2006-1630
İlgili ürün: Mac OS X Server v10.4.6
Etki: Kötü amaçlarla oluşturulmuş e-posta iletilerinin ClamAV ile işlenmesi, rastgele kod yürütülmesine neden olabilir
Açıklama: ClamAV virüs tarama yazılımı, son sürümdeki güvenlik düzeltmelerini içerecek şekilde güncellenmiştir. ClamAV, e-posta taraması için Mac OS X Server v10.4 sürümünde kullanıma sunulmuştur. Bu sorunlardan en ciddi olanı, ClamAV ayrıcalıklarıyla rastgele kod yürütülmesine neden olabilir. Daha fazla bilgi için projenin web sitesine bakın: http://www.clamav.net.
CoreFoundation
CVE-ID: CVE-2006-1442
İlgili ürünler: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Etki: Güvenilmeyen bir paketin kaydedilmesi, rastgele kod yürütülmesine neden olabilir
Açıklama: Belirli durumlarda paketler, uygulamalar veya sistemler tarafından dolaylı olarak kaydedilir. Paket API'sinin bir özelliği, istemci uygulaması açıkça talep etmesi bile bir paket kaydedildiğinde dinamik kitaplıkların yüklenip yürütülmesine olanak tanır. Bunun sonucunda, açık bir kullanıcı etkileşimi olmadan, güvenilmeyen paketten rastgele kod yürütülebilir. Bu güncelleme, paketteki kitaplıkları yalnızca uygun zamanda yükleyip yürüterek sorunu giderir.
CoreFoundation
CVE-ID: CVE-2006-1443
İlgili ürünler: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Etki: Dizenin dosya sistemi temsiline dönüştürülmesi işlemleri, rastgele kod yürütülmesine neden olabilir
Açıklama: CFStringGetFileSystemRepresentation öğesindeki bir sınır koşulunun işlenmesi sırasında oluşan bir tamsayı taşması, rastgele kod yürütülmesine yol açabilir. Bu API'yi veya NSFileManager'ın getFileSystemRepresentation:maxLength:withPath: API'si gibi ilgili API'lerden birini kullanan uygulamalar sorunu tetikleyebilir ve rastgele kod yürütülmesine neden olabilir. Bu güncelleme, sınır koşullarını doğru şekilde işleyerek sorunu giderir.
CoreGraphics
CVE-ID: CVE-2006-1444
İlgili ürünler: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Etki: Güvenli bir metin alanına girilen karakterler, aynı pencere oturumundaki diğer uygulamalar tarafından okunabilir
Açıklama: Quartz Event Services, uygulamalara düşük düzeydeki kullanıcı girişi etkinliklerini gözlemleme ve değiştirme özelliği sunar. Normalde uygulamalar, güvenli etkinlik girişi etkinleştirilmişken etkinlikleri kesintiye uğratamaz. Ancak, "Enable access for assistive devices" (Yardımcı aygıtlar için erişimi etkinleştir) seçeneği açıksa Quartz Event Services, güvenli etkinlik girişi etkinleştirilmişken bile etkinlikleri kesintiye uğratmak için kullanılabilir. Bu güncelleme, güvenli etkinlik girişi etkinleştirilmişken etkinlikleri filtreleyerek sorunu giderir. Mac OS X v10.4 öncesi sistemler bu sorundan etkilenmez. Bu sorunu bildirdiği için Damien Bobillot'a teşekkür ederiz.
Finder
CVE-ID: CVE-2006-1448
İlgili ürünler: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Etki: Bir İnternet Yeri öğesinin başlatılması, rastgele kod yürütülmesine neden olabilir
Açıklama: İnternet Yeri öğeleri; http://, ftp:// ve file:// URL'lerinin yanı sıra birkaç başka URL düzenine daha başvurabilen basit URL kapsayıcılarıdır. Bu farklı İnternet Yeri öğesi türleri görsel olarak farklıdır ve açıkça başlatılmaları güvenli olacak şekilde tasarlanmışlardır. Ancak, URL düzeni İnternet Yeri türünden farklı olabilir. Bunun sonucunda bir saldırgan, bir kullanıcıyı sözde zararsız olan bir öğeyi (http:// şeklindeki Web İnternet Yeri gibi) başlatmaya ikna edebilir ve bu da aslında bazı başka URL düzenlerinin kullanılmasıyla sonuçlanır. Belirli durumlarda bu, rastgele kod yürütülmesine neden olabilir. Bu güncelleme, URL düzenini İnternet Yeri türüne göre kısıtlayarak sorunları giderir.
FTPServer
CVE-ID: CVE-2006-1445
İlgili ürünler: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Etki: Kimliği doğrulanmış FTP kullanıcılarının gerçekleştirdiği FTP işlemleri, rastgele kod yürütülmesine neden olabilir
Açıklama: FTP sunucu yolu adı işlemesindeki birden fazla sorun, arabellek taşması ile sonuçlanabilir. Kimliği doğrulanmış kötü amaçlı bir kullanıcı bu taşmayı tetikleyebilir. Bu da, FTP sunucusunun ayrıcalıklarıyla rastgele kod yürütülmesine neden olabilir. Bu güncelleme, sınır koşullarını doğru şekilde işleyerek sorunu giderir.
Flash Player
CVE-ID: CVE-2005-2628, CVE-2006-0024
İlgili ürünler: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Etki: Flash içeriklerini oynatmak, rastgele kod yürütülmesine neden olabilir
Açıklama: Adobe Flash Player, özellikle oluşturulmuş dosyalar yüklendiğinde rastgele kod yürütülmesine yol açabilen kritik güvenlik açıkları içerir. Daha fazla bilgi Adobe web sitesinde mevcuttur: http://www.adobe.com/devnet/security/security_zone/apsb06-03.html. Bu güncelleme, Flash Player 8.0.24.0 sürümünü içererek sorunu giderir.
ImageIO
CVE-ID: CVE-2006-1552
İlgili ürünler: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Etki: Kötü amaçlarla oluşturulmuş bir JPEG görüntüsünü görüntülemek, rastgele kod yürütülmesine neden olabilir
Açıklama: JPEG meta verilerinin işlenmesindeki bir tamsayı taşması, yığın arabellek taşmasıyla sonuçlanabilir. Bir saldırgan, hatalı oluşturulmuş JPEG meta verileri içeren bir görüntüyü dikkatli bir şekilde oluşturarak, görüntü görüntülendiğinde rastgele kod yürütülmesini sağlayabilir. Bu güncelleme, görüntüler için ek doğrulama gerçekleştirerek sorunu giderir. Mac OS X v10.4 öncesi sistemler bu sorundan etkilenmez. Bu sorunu bildirdiği için NewsGator Technologies, Inc. şirketinden Brent Simmons'a teşekkür ederiz.
Keychain
CVE-ID: CVE-2006-1446
İlgili ürünler: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Etki: Bir uygulama, Anahtar Zinciri kilitliyken Anahtar Zinciri'ndeki öğeleri kullanabilir
Açıklama: Bir Anahtar Zinciri kilitliyken uygulamaların, önce Anahtar Zinciri'nin kilidinin açılması isteğinde bulunmadan Anahtar Zinciri'ndeki öğelere erişmesi mümkün değildir. Ancak belirli durumlarda, Anahtar Zinciri kilitlenmeden önce Anahtar Zinciri'ndeki bir öğenin referansını elde etmiş bir uygulama, Anahtar Zinciri kilitli olsa da olmasa da Anahtar Zinciri'ndeki söz konusu öğeyi kullanmaya devam edebilir. Bu güncelleme, Anahtar Zinciri kilitliyken Anahtar Zinciri'ndeki öğeleri kullanma isteklerini reddederek sorunu giderir. Bu sorunu bildirdiği için HU Berlin'den Tobias Hahn'a teşekkür ederiz.
LaunchServices
CVE-ID: CVE-2006-1447
İlgili ürünler: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Etki: Kötü amaçlı bir web sitesini görüntülemek, rastgele kod yürütülmesine neden olabilir
Açıklama: Uzun dosya adı uzantıları, İndirme Doğrulama özelliğinin bir öğenin hangi uygulamayla açacağını doğru şekilde belirlemesini önleyebilir. Bunun sonucunda bir saldırgan, İndirme Doğrulama özelliğini atlayabilir ve "'Güvenli' dosyaları indirdikten sonra aç" seçeneği etkinse ve belirli uygulamalar yüklü değilse Safari'nin güvenli olmayan içerikleri otomatik olarak açmasına neden olabilir. Bu güncelleme, dosya adı uzantısı denetimini iyileştirerek sorunu giderir. Mac OS X 10.4 sürümü öncesindeki sistemler bu sorundan etkilenmez.
libcurl
CVE-ID: CVE-2005-4077
İlgili ürünler: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Etki: libcurl kitaplığındaki URL işleme, rastgele kod yürütülmesine neden olabilir
Açıklama: libcurl adlı açık kaynak HTTP kitaplığı, URL işlemede arabellek taşmaları içerir. URL işleme için curl kullanan uygulamalar bu sorunu tetikleyebilir ve rastgele kod yürütülmesine neden olabilir. Bu güncelleme, libcurl kitaplığının 7.15.1 sürümünü içererek sorunu giderir. Mac OS X v10.4 öncesi sistemler bu sorundan etkilenmez.
Mail
CVE-ID: CVE-2006-1449
İlgili ürünler: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Etki: Kötü amaçlı bir Mail iletisini görüntülemek, rastgele kod yürütülmesine neden olabilir
Açıklama: Bir saldırgan, kapsüle yerleştirilmiş MacMIME ekleri içeren, özel olarak oluşturulmuş bir e-posta iletisi hazırlayarak tamsayı taşması tetikleyebilir. Bu da, Mail'i çalıştıran kullanıcının ayrıcalıklarıyla rastgele kod yürütülmesine neden olabilir. Bu güncelleme, iletiler için ek doğrulama gerçekleştirerek sorunu giderir.
Mail
CVE-ID: CVE-2006-1450
İlgili ürünler: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Etki: Kötü amaçlı bir Mail iletisini görüntülemek, rastgele kod yürütülmesine neden olabilir
Açıklama: Zenginleştirilmiş metinli e-posta iletilerindeki geçersiz renk bilgilerinin işlenmesi, rastgele sınıfların ayrılmasına ve başlatılmasına yol açabilir. Bu da, Mail'i çalıştıran kullanıcının ayrıcalıklarıyla rastgele kod yürütülmesine neden olabilir. Bu güncelleme, hatalı oluşturulmuş zenginleştirilmiş metin verilerini doğru şekilde işleyerek sorunu giderir.
MySQL Manager
CVE-ID: CVE-2006-1451
İilgili ürün: Mac OS X Server v10.4.6
Etki: MySQL veritabanına boş bir parolayla erişilebilir
Açıklama: Bir MySQL veritabanı sunucusunun MySQL Manager kullanılarak ilk kez ayarlanması sırasında "New MySQL root password" (Yeni MySQL kök parolası) sağlanabilir. Ancak bu parola aslında kullanılmaz. Bunun sonucunda, MySQL kök parolası boş kalır. Daha sonra yerel bir kullanıcı, tam ayrıcalıklarla MySQL veritabanına erişim elde edebilir. Bu güncelleme, girilen parolanın kaydedilmesini sağlayarak sorunu giderir. Bu sorun Mac OS X Server v10.4 sürümünden önceki sistemleri etkilemez. Bu sorunu bildirdiği için New South Wales Üniversitesi'nden Ben Low'a teşekkür ederiz.
Preview
CVE-ID: CVE-2006-1452
İlgili ürünler: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Etki: Kötü amaçlarla oluşturulmuş bir dizin hiyerarşisinde gezinmek, rastgele kod yürütülmesine neden olabilir
Açıklama: Önizleme'de çok derin dizin hiyerarşilerinde gezinirken bir yığın arabellek taşması tetiklenebilir. Bir saldırgan dikkatli bir şekilde bu tür bir dizin hiyerarşisi oluşturduğunda, dizinler Önizleme'de açılırsa saldırgan rastgele kod yürütülmesini sağlayabilir. Mac OS X 10.4 sürümü öncesindeki sistemler bu sorundan etkilenmez.
QuickDraw
CVE-ID: CVE-2006-1453, CVE-2006-1454
İlgili ürünler: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Etki: Kötü amaçlarla oluşturulmuş bir PICT görüntüsünü görüntülemek, rastgele kod yürütülmesine neden olabilir
Açıklama: PICT görüntüleri işlenirken QuickDraw'u etkileyen iki sorun vardır. Hatalı oluşturulmuş font bilgileri ve hatalı oluşturulmuş görüntü verileri yığın arabellek taşmasına yol açabilir. Bir saldırgan, dikkatli bir şekilde kötü amaçlı bir PICT görüntüsü oluşturarak, görüntü görüntülendiğinde rastgele kod yürütülmesini sağlayabilir. Bu güncelleme, PICT görüntüleri için ek doğrulama gerçekleştirerek sorunu giderir. Bu sorunu bildirdiği için McAfee AVERT Labs'ten Mike Price'a teşekkür ederiz.
QuickTime Streaming Server
CVE-ID: CVE-2006-1455
İlgili ürünler: Mac OS X Server v10.3.9, Mac OS X Server v10.4.6
Etki: Hatalı oluşturulmuş bir QuickTime filmi, QuickTime Streaming Server'ın çökmesine yol açabilir
Açıklama: Eksik parçalı bir QuickTime filmi null işaretçi dereferansına neden olarak sunucu işleminin çökmesini sağlayabilir. Bu da, etkin durumdaki istemci bağlantılarının kesintiye uğramasına yol açar. Ancak sunucu otomatik olarak yeniden başlatılır. Bu güncelleme, hatalı oluşturulmuş filmlerle karşılaşıldığında hata vererek sorunu giderir.
QuickTime Streaming Server
CVE-ID: CVE-2006-1456
İlgili ürünler: Mac OS X Server v10.3.9, Mac OS X Server v10.4.6
Etki: Kötü amaçlarla oluşturulmuş RTSP istekleri, çökmelere veya rastgele kod yürütülmesine neden olabilir
Açıklama: Bir saldırgan, dikkatli bir şekilde bir RTSP isteği oluşturarak iletilerin kaydedilmesi sırasında bir arabellek taşması tetikleyebilir. Bu da, QuickTime Streaming Server ayrıcalıklarıyla rastgele kod yürütülmesine neden olabilir. Bu güncelleme, sınır koşullarını doğru şekilde işleyerek sorunu giderir. Bu sorunu bildirdiği için Mu Security araştırma ekibine teşekkür ederiz.
Ruby
CVE-ID: CVE-2005-2337
İlgili ürünler: Mac OS X v10.3.9, Mac OS X Server v10.3.9, Mac OS X v10.4.6, Mac OS X Server v10.4.6
Etki: Ruby güvenli düzey kısıtlamaları atlanabilir
Açıklama: Ruby betik yazma dilinde, belirli işlemleri kısıtlamak için kullanılan "güvenli düzeyler" adlı bir mekanizma yer alır. Bu mekanizma en çok, ayrıcalıklı Ruby uygulamalarını veya Ruby ağındaki uygulamaları çalıştırırken kullanılır. Belirli durumlarda bir saldırgan, bu tür uygulamalardaki kısıtlamaları atlayabilir. Güvenli düzeyleri kullanmayan uygulamalar bu durumdan etkilenmez. Bu güncelleme, güvenli düzeylerinin atlanamamasını sağlayarak sorunu giderir.
Safari
CVE-ID: CVE-2006-1457
İlgili ürünler: Mac OS X v10.4.6, Mac OS X Server v10.4.6
Etki: Kötü amaçlı web sitelerini ziyaret etmek, dosyalarla oynanmasına veya rastgele kod yürütülmesine neden olabilir
Açıklama: Safari'nin "'Güvenli' dosyaları indirdikten sonra aç" seçeneği etkinken arşivler otomatik olarak genişletilir. Arşiv bir sembolik bağlantı içeriyorsa hedef sembolik bağlantı, kullanıcının masaüstüne taşınıp başlatılabilir. Bu güncelleme, indirilen sembolik bağlantıları çözümlemeyerek sorunu giderir. Mac OS X 10.4 sürümü öncesindeki sistemler bu sorundan etkilenmez.